如果提示注入从未离开？探索代理系统中的跨会话存储提示注入

现代代理系统通过记忆、文件系统等持久化状态，将 LLM 从无会话限制助手转变为有状态系统，这根本性地扩大了提示注入的攻击面。本文受 Web 系统中存储型跨站脚本攻击启发，提出“跨会话存储提示注入”概念，即恶意注入可 persist 于系统状态并长期影响后续执行。研究形式化了该威胁，构建了分类体系、基准测试及沙盒工具包，定量评估了不同模型与持久化通道下的攻击风险。结果表明，持久性使提示注入从短暂的模型级威胁转变为嵌入代理执行状态的长期系统级漏洞。